Link als je aan een artikel refereert er ook even naar (inclusief de url-tag die er een klikbare link van maakt s.v.p., die wordt opmerkelijk vaak overgeslagen tegenwoordig terwijl die er toch echt niet voor niets is):
https://www.nrc.nl/nieuws/2023/06/15/ambtenaar-ontslagen-wegens-aanpassen-veiligheidsrapportages-digid-a4167323

Security.nl heeft hier een dag voor NRC al over bericht:
https://www.security.nl/posting/799578/Ambtenaar+vervalste+meerdere+rapporten+over+beveiliging+DigiD-aansluiting

NRC meldt dat de Auditdienst Rijk (die deze audit uitvoerde) een werkwijze met "bewerkbare documenten" tegen het licht houdt. Onder het artikel op security.nl wees iemand erop dat Logius vereist dat de rapporten digitaal ondertekend moeten zijn door de auditor. Als Logius manipulatie jarenlang niet ontdekt heeft lijkt het erop dat Logius die handtekeningen niet of niet goed heeft gecontroleerd. Dan is de verbetering die daar nodig is duidelijk.

Je zou ook de SHA256 erbij kunnen publiceren, die kan de consument van het rapport dan (b.v. met 7Zip’s explorer extensie) kunnen controleren om aanpassing vast te stellen.

Dat heeft alleen zin als de consumenten verderop in de keten die hash op betrouwbare manier ontvangen .
Anders kan degene die het rapport edit simpelweg een nieuwe hash ervan maken.

Of je bent weer terug naar het hele (kansloze) public key verhaal, want een digitale signature is niks anders dan een hash die met de secret key van de maker gecrypt is .

Verder moet het rapport dan echt een definitieve versie zijn - het wordt een heel onmogelijk probleem als er wel edits moeten kunnen (logo, voorwoord, management summary) maar alleen de resultaten niet meer aangepast mogen worden .

Het is uiteindelijk een vertrouwensprobleem - met in deze situatie een man-in-the-middle .

rapportmaker -> teamlead/afdeling -> bovenbazen .
Hier zal die tussenschakel het straatje schoongeveegd hebben met wat edits.

Procedureel kan het ook wel opgelost worden : als de bovenbazen gewoon rechtstreeks het rapport krijgen / ophalen bij de bron .
Maar of het nu met een crypto sausje of met een directe verzending gaat, het is erg ongebruikelijk in organisaties om een controleslag te hebben die feitelijk neerkomt op 'mijn ondergeschikte is misschien onbetrouwbaar' .
(facturen ook naar de directie sturen omdat de boekhouder misschien onbetrouwbaar is )